Dla naszego bezpieczeństwa krytyczne jest zapewnienie ciągłości działania systemów ważnych dla Państwa i jego instytucji oraz gospodarki, a zwłaszcza podmiotów infrastruktury krytycznej. Dotyczy to w szczególności: IT/OT, przemysłowych systemów kontrolno-pomiarowych i sterowania, systemów informatycznych wpierających pracę administracji publicznej, rządowej i opieki zdrowotnej. Konieczne jest więc pilne podjęcie działań eliminujących podatności tych systemów na problemy synchronizacji czasu.
Konsekwencje braku ciągłości działania mogą być bardzo poważne, co pokazała awaria w systemie zarządzania ruchem kolejowym. Analizując kontekst techniczny zagrożeń wynikających z działania systemów synchronizacji czasu, Polskie Towarzystwo Informatyczne zaleca, w celu zapewnienia zwiększonej stabilności działania tych systemów, podjęcie następujących działań przez organy zarządzające oraz administratorów zarządzających tymi systemami:
- w celu przeciwdziałania awariom należy wprowadzić redundancje synchronizacji na poziomie NTP, poprzez używanie wielu serwerów NTP jednocześnie jako wzorca czasu UTC,
- w celu poprawy bezpieczeństwa należy wprowadzić zdywersyfikowany model redundancji NTP w układzie konwergencji:
- serwery NTP lokalne synchronizowane do systemów opartych na satelitach europejskich GALILEO i/lub GALILEO+GPS
jeżeli brak łączności z Głównym Urzędem Miar. Jednocześnie należy zadbać, aby nie synchronizować się względem rosyjskiego systemu GLONASS i chińskiego BEIDOU. - serwery NTP publiczne Głównego Urzędu Miar RP działające na podstawie Dz.U Nr. 56 poz. 548
tempus1.gum.gov.pl , tempus2.gum.gov.pl , jeżeli jest łączność z Głównym Urzędem Miar.
Synchronizacja z Głównym Urzędem Miar RP powinna się odbywać przy użyciu NTP.
kryptograficznie uwierzytelnionego.
- serwery NTP lokalne synchronizowane do systemów opartych na satelitach europejskich GALILEO i/lub GALILEO+GPS
Jednocześnie NIE należy synchronizować się do serwerów publicznych nieznanego pochodzenia, a w szczególności zadbać o nie używanie tzw. systemu automatycznego przydzielania serwerów, znanego jako POOL.NTP . Losowo przedzielane serwery nie pozwalają zidentyfikować źródła czasu. Grupa POOLNTP.ORG oraz jej pochodne takie np. w poddomenie krajowej PL.POOLNTP.ORG itp. są standardowo proponowane i ustawiane przez niektórych wytwórców oprogramowania oraz zawarte są w standardowych dystrybucjach systemów operacyjnych rodziny Linux.
Stanowisko opracowano na podstawie rekomendacji w innych państwach wydanych dla podobnych przypadków, w związku z najwyższym stopniem alarmu cyberbezpieczeństwa w Polsce oraz zmianą sytuacji geopolitycznej na świecie uwzględniającą konflikt zbrojny na Ukrainie.
Podjęcie sugerowanych działań spowoduje, że Polska podąży w tym samym kierunku Stany Zjednoczone, gdzie obowiązuje wydane w lutym 2020 zarządzenie Prezydenta USA nr. EO13905 w sprawie konieczności zmniejszenia zależności i wpływu systemów GNSS, w tym również amerykańskiego systemu GPS na infrastrukturę krytyczną USA.
Warszawa, 18 marca 2022 r.
(Brak głosów)